CISSP vs Security+ : Lequel faut-il d'abord ?

Ce ne sont pas vraiment des certifications concurrentes

Je reçois cette question constamment, et la réponse honnête est que CISSP et Security+ ne sont pas en concurrence pour la même place sur votre CV — ils se situent à des stades de carrière complètement différents. Security+ est une accréditation d'entrée de gamme, indépendante des fournisseurs, destinée aux personnes qui commencent dans la cybersécurité. CISSP est une certification de haut niveau en gestion et architecture d'ISC2 qui nécessite des années d'expérience professionnelle rémunérée pour obtenir seulement la désignation complète. Les comparer directement, c'est un peu comme comparer un test de conduite à un permis poids lourd — domaine connexe, niveau très différent.

Si vous posez cette question parce que vous êtes tout nouveau dans le domaine, la réponse est simple : Security+ d'abord, toujours. CISSP n'est pas accessible pour le moment, et même si c'était le cas, ce ne serait pas la bonne accréditation pour où vous êtes.

L'exigence d'expérience que la plupart des gens ratent

C'est le détail qui piège les gens : CISSP nécessite un minimum de cinq ans d'expérience professionnelle rémunérée cumulée dans au moins deux des huit domaines CISSP (une année peut être levée avec un diplôme pertinent ou une autre certification approuvée). Vous pouvez vous présenter et réussir l'examen sans cette expérience et devenir un « Associé d'ISC2 », mais vous n'obtenez pas la désignation CISSP complète tant que l'exigence d'expérience n'est pas satisfaite et approuvée. Security+ n'a aucune exigence de ce type — vous pouvez vous y présenter dès le premier jour de votre carrière.

C'est la raison pratique pour laquelle la plupart des gens ont besoin de Security+, ou d'une fondation équivalente, bien avant que CISSP ne soit pertinent pour leur situation. Cela explique aussi pourquoi les annonces d'emploi demandant « CISSP ou équivalent, 5+ ans d'expérience » ne ressemblent en rien aux offres d'entrée de gamme qui mentionnent Security+ — elles ne visent pas le même candidat du tout, et les traiter comme des échelons d'une même petite échelle crée des attentes irréalistes de part et d'autre.

Côte à côte

	Security+ (SY0-701)	CISSP
Niveau	Entrée de gamme	Senior / gestion
Organisme	CompTIA	ISC2
Expérience requise	Aucune	5 ans (avec dérogations)
Focus	Fondamentaux techniques	Gestion de la sécurité, gouvernance, architecture
Titulaire type	Analyste junior, changement de carrière	Responsable sécurité, architecte, parcours CISO
Renouvellement	Formation continue	Formation continue (CPEs)

Ce que je dis aux étudiants qui veulent passer directement à CISSP

Occasionnellement, j'ai un étudiant, généralement un changement de carrière provenant d'un rôle senior dans un autre domaine — gestion de programme, leadership d'ingénierie, armée — qui veut aller directement pour CISSP parce qu'il ressemble à la certification « top ». Je leur dis la même chose à chaque fois : CISSP teste l'étendue des connaissances en gestion de la sécurité sur huit domaines, et sans aucune base dans les fondamentaux techniques, vous serez en train de mémoriser des concepts que vous n'avez jamais vus appliqués. C'est une façon beaucoup plus difficile et beaucoup moins durable d'apprendre, et ça ne vous aide pas si vous ne pouvez pas franchir l'exigence d'expérience pour tenir la accréditation complète de toute façon.

Constituez d'abord la fondation technique — Security+ ou équivalent, idéalement avec une pratique pratique — puis laissez CISSP être la certification qui formalise les connaissances au niveau de la gestion une fois que vous opérez réellement à ce niveau. Je dis cela en tant que quelqu'un qui détient CISSP : l'examen récompense le jugement construit à partir de vraies décisions que vous avez dû prendre sous pression — un incident actif, un compromis budgétaire, une exception de politique que personne ne voulait approuver. Sans ce bagage d'expérience sur lequel vous appuyer, vous êtes en train de mémoriser des abstractions au lieu de reconnaître des modèles que vous connaissez déjà, et c'est une façon beaucoup plus lente et beaucoup moins fiable de préparer.

Un ordre sensé

1. Security+ (ou ISC2 CC) — vocabulaire et concepts fondamentaux.
2. Expérience pratique — un rôle d'analyste, une accréditation pratique comme BTL1, des projets pratiques.
3. Une spécialisation — sécurité cloud, blue team, GRC, selon la direction de votre carrière.
4. CISSP — une fois que vous accumulez les années d'expérience et que vous vous dirigez vers une responsabilité de gestion ou d'architecture.

Si vous n'êtes pas sûr que CISSP vaut l'effort même une fois que vous êtes admissible, j'ai écrit le plaidoyer pour et contre séparément : CISSP en vaut-il la peine. Et si vous voulez le tableau plus complet de la place de Security+ avant tout cela, voir Security+ en vaut-il la peine.

FAQ

Puis-je obtenir CISSP sans aucune expérience professionnelle ?

Vous pouvez réussir l'examen et devenir un Associé d'ISC2, en travaillant vers la désignation CISSP complète au fur et à mesure que vous accumulez l'expérience requise. Vous ne pouvez pas détenir la accréditation CISSP complète sans elle.

CISSP est-il plus difficile que Security+ ?

Oui, mais pas seulement à cause de la difficulté du contenu — CISSP teste l'étendue et le jugement sur les sujets de gestion de la sécurité, ce qui est plus difficile à mémoriser rapidement que les objectifs plus définis et techniques de Security+.

Les changements de carrière doivent-ils viser directement CISSP ?

Seulement si vous avez déjà des années d'expérience pertinente provenant de domaines connexes qu'ISC2 reconnaîtra — par exemple, des rôles en risque informatique, audit ou gestion de programme avec un vrai contenu de sécurité. Sinon, constituez d'abord la fondation.

Security+ compte-t-il pour l'exigence d'expérience de CISSP ?

Security+ lui-même ne compte pas comme expérience professionnelle, mais CompTIA a des accords qui permettent à certaines certifications CompTIA de satisfaire une année de la dérogation d'expérience CISSP — consultez la page officielle d'ISC2 pour la liste actuelle, car ces arrangements changent.

Vous n'êtes pas sûr de celui qui correspond vraiment à votre situation maintenant ? Réservez une leçon d'essai et nous allons cartographier la prochaine étape réaliste plutôt que celle aspirationnelle.